O que é autorização para tratamento de dados pessoais

A Lei Geral de Proteção de Dados (Lei 13.709/2018) define tratamento de dados pessoais como qualquer operação realizada com dados de pessoas naturais identificadas ou identificáveis: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.

A amplitude dessa definição é intencional. Qualquer manipulação de um dado pessoal, por menor que seja, configura tratamento e precisa de amparo legal para ocorrer de forma lícita.

A autorização para tratamento de dados pessoais é frequentemente confundida com consentimento. Tecnicamente, porém, consentimento é apenas uma das hipóteses que autoriza o tratamento, não a única. A LGPD prevê dez bases legais distintas, e o controlador precisa identificar qual delas sustenta cada atividade de tratamento antes de iniciar qualquer operação com dados.

Nem todo tratamento de dados exige que o titular assine um termo ou clique em “aceito”. Quando a base legal é outra, como execução de contrato, cumprimento de obrigação legal ou interesse legítimo, a autorização expressa do titular não é obrigatória. O erro mais comum das organizações é tratar o consentimento como regra geral quando, em muitos casos, ele sequer é a base mais adequada.

As dez bases legais da LGPD e o papel do consentimento

O Art. 7º da LGPD lista as hipóteses que legitimam o tratamento de dados de pessoas físicas: consentimento do titular, cumprimento de obrigação legal ou regulatória, execução de políticas públicas, realização de estudos por órgão de pesquisa, execução de contrato, exercício regular de direitos em processo judicial ou administrativo, proteção da vida, tutela da saúde, interesse legítimo do controlador e proteção do crédito.

Para dados sensíveis (origem racial, saúde, biometria, orientação sexual, entre outros), as hipóteses são mais restritas e estão previstas no Art. 11º, exigindo maior rigor na escolha da base legal.

O consentimento faz sentido quando o tratamento vai além da relação contratual ou legal e depende efetivamente de uma escolha do titular. Um exemplo prático: enviar e-mails transacionais sobre um pedido pode se apoiar na execução do contrato; já enviar ofertas de produtos de terceiros parceiros exige consentimento separado e específico.

No mercado brasileiro, é comum ver empresas coletando consentimento para absolutamente tudo, inclusive para atividades cobertas por outras bases legais. Isso não é apenas desnecessário: pode ser prejudicial. Se o titular revogar o consentimento, a empresa perde a base legal e pode ser obrigada a encerrar tratamentos que poderiam continuar legitimamente por outro fundamento.

Requisitos para uma autorização válida segundo a LGPD

Manifestação livre, informada e inequívoca

Livre significa que o consentimento não pode ser condicionado ao acesso a um serviço quando o tratamento não é necessário para prestá-lo. Se a recusa implica punição ou perda de funcionalidade essencial, a manifestação não é livre. Informada exige que o titular saiba exatamente para que seus dados serão usados, por quem e por quanto tempo. Inequívoca elimina qualquer ambiguidade: silêncio, inação ou caixas pré-marcadas não configuram consentimento válido.

Finalidade específica

A autorização genérica do tipo “concordo que meus dados sejam usados para fins comerciais” não tem validade legal. A LGPD exige que a finalidade seja determinada, explícita e legítima. Se a organização quiser usar os dados para uma nova finalidade incompatível com a original, precisará de nova autorização ou de outra base legal.

Forma de registro

O consentimento pode ser obtido por escrito, por meio eletrônico ou por qualquer outro formato que comprove a manifestação do titular. O ônus da prova é do controlador: se houver questionamento, a empresa precisa demonstrar que o consentimento foi obtido de forma válida. Formulários com log de IP e timestamp, assinaturas digitais e gravações de voz (com ciência do titular) são meios aceitos.

Revogabilidade

O titular pode retirar o consentimento a qualquer momento, mediante requisição simples. A revogação não tem efeito retroativo: os tratamentos realizados enquanto o consentimento estava vigente permanecem válidos. A partir da revogação, porém, o controlador deve cessar o tratamento fundamentado exclusivamente naquele consentimento. Processos burocráticos e ausência de canal claro para revogação são considerados violação pela ANPD.

Como estruturar um Termo de Autorização para Tratamento de Dados

Elementos obrigatórios

Um termo válido precisa identificar claramente o controlador (nome, CNPJ, dados de contato e do encarregado de dados), listar os dados que serão coletados, descrever a finalidade de cada tratamento, indicar o prazo de retenção ou os critérios para determinar esse prazo, e informar os direitos do titular e como exercê-los.

Quando houver compartilhamento com terceiros, o termo precisa identificar as categorias de destinatários e a finalidade do compartilhamento. Indicar “parceiros comerciais” sem especificação não é suficiente.

Linguagem clara e acessível

A LGPD exige que o consentimento seja fornecido de forma destacada e em linguagem clara. Termos jurídicos herméticos, frases em bloco de texto corrido e referências cruzadas excessivas prejudicam a validade do documento. O parâmetro é direto: o titular mediano consegue entender o que está autorizando sem auxílio técnico?

Uma boa prática é usar camadas de informação: um resumo visual no topo com os pontos principais e o texto completo disponível para quem quiser aprofundar. Esse modelo é recomendado por autoridades de proteção de dados em diferentes jurisdições e se adapta bem ao contexto digital brasileiro.

Integração com a Política de Privacidade

O termo de autorização não substitui a Política de Privacidade; os dois documentos se complementam. A política é o documento público que descreve todas as atividades de tratamento da organização. O termo é o instrumento pelo qual o titular manifesta concordância com um tratamento específico. A Declaração de Privacidade, quando adotada, contextualiza o tratamento para um público ou produto específico.

Armazenamento e auditoria

Manter evidências do consentimento é obrigação do controlador. O sistema de gestão deve registrar: data e hora da manifestação, versão do termo apresentado, canal utilizado, dados de identificação do titular e eventuais revogações posteriores. Ferramentas de Consent Management Platform (CMP) ajudam a automatizar esse controle, mas a responsabilidade legal permanece com o controlador, independentemente da ferramenta utilizada.

Direitos do titular e como a autorização se relaciona a eles

O Art. 18 da LGPD garante ao titular um conjunto de direitos que podem ser exercidos a qualquer momento: confirmação da existência de tratamento, acesso aos dados, correção de dados incompletos ou inexatos, anonimização ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamentos, possibilidade de não consentir e conhecer as consequências, revogação do consentimento e oposição ao tratamento.

Um termo de autorização bem estruturado facilita diretamente o atendimento dessas requisições. Quando a finalidade e os dados coletados estão claramente documentados, a equipe responsável consegue responder com precisão e dentro do prazo, sem precisar mapear retroativamente o que foi coletado e por quê.

A ANPD ainda não fixou prazo legal específico para resposta a titulares, mas a prática de mercado e referências internacionais apontam para até 15 dias úteis como prazo razoável. O canal de atendimento (e-mail, formulário, telefone) precisa estar disponível e funcional: endereços genéricos sem resposta configuram falha no processo.

Erros comuns e riscos de não conformidade

Coletar dados sem base legal definida

Iniciar o tratamento sem identificar previamente a base legal que o sustenta é a infração mais básica e, paradoxalmente, ainda muito frequente. As consequências vão desde advertência até multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. O dano reputacional, especialmente em casos de vazamento, tende a ser mais custoso do que a sanção administrativa.

Autorização por omissão ou caixas pré-marcadas

A LGPD é explícita: silêncio e inação não equivalem a consentimento. Caixas de seleção marcadas por padrão, termos que presumem concordância pela navegação no site ou contratos com cláusulas de consentimento enterradas em letras miúdas não produzem consentimento válido. Essa prática é monitorada pela ANPD e foi objeto de orientações específicas da autoridade.

Compartilhamento com terceiros sem previsão

Se o consentimento foi obtido para uma finalidade específica e os dados são posteriormente compartilhados com terceiros para finalidades distintas, há violação direta da lei. O compartilhamento precisa estar previsto no termo original ou embasado em outra base legal autônoma. Acordos de processamento de dados (DPA) com fornecedores e operadores também precisam estar formalizados.

Papel da ANPD

A Autoridade Nacional de Proteção de Dados tem competência para fiscalizar, aplicar sanções e editar regulamentos. Desde 2023, a ANPD intensificou sua atuação com processos administrativos sancionatórios, guias técnicos e resoluções normativas. O Regulamento de Doses e Sanções, aprovado em 2023, detalha os critérios de dosimetria para as multas, considerando boa-fé, cooperação, adoção de boas práticas e reincidência como fatores agravantes ou atenuantes.

Como avaliar a maturidade da sua organização

Antes de revisar ou criar termos de autorização, responda às seguintes perguntas como ponto de partida:

• Existe um inventário (ROPA) atualizado de todas as atividades de tratamento de dados da organização?
• Cada atividade de tratamento tem uma base legal formalmente identificada e documentada?
• Os termos de consentimento vigentes especificam finalidade, prazo de retenção e destinatários dos dados?
• Há um canal funcional para que titulares exerçam seus direitos, com processo definido e responsável designado?
• O sistema de gestão de consentimentos registra data, versão do termo e eventuais revogações com trilha de auditoria?
• Os contratos com operadores e suboperadores incluem cláusulas de proteção de dados compatíveis com a LGPD?

Se mais de duas respostas forem negativas ou incertas, o ponto de partida não é redigir um novo termo: é mapear o fluxo de dados e definir as bases legais antes de qualquer iniciativa documental. Um termo bem escrito sobre uma base legal errada não protege a organização.